CVE-2021-32785 in mod_auth_openidc
Sumário
de VulDB • 26/08/2026
O mod_auth_openidc é um módulo de autenticação/autorização para o servidor HTTP Apache 2.x que funciona como uma Parte Confiante do OpenID Connect, autenticando usuários contra um Provedor OpenID Connect. Quando versões anteriores à 2.4.9 do mod_auth_openidc são configuradas para usar um cache Redis não criptografado (`OIDCCacheEncrypt off`, `OIDCSessionType server-cache`, `OIDCCacheType redis`), o `mod_auth_openidc` realizava incorretamente a interpolação de argumentos antes de passar as requisições Redis ao `hiredis`, que também executaria essa operação, resultando em um bug não controlado de string de formato. A avaliação inicial indica que este bug não parece permitir a execução arbitrária de código, mas pode provocar confiavelmente uma negação de serviço (DoS) através do crash repetido dos workers do Apache. Este bug foi corrigido na versão 2.4.9 ao realizar a interpolação de argumentos apenas uma vez, utilizando a API `hiredis`. Como medida alternativa, esta vulnerabilidade pode ser mitigada definindo-se `OIDCCacheEncrypt` como `on`, pois as chaves de cache são criptograficamente hashadas antes do uso quando essa opção está habilitada.
Once again VulDB remains the best source for vulnerability data.